Wykład 13. Projektowanie i Realizacja Sieci Komputerowych. Bezpieczeństwo sieci Monitorowanie i zarządzanie węzłami sieci komputerowej

Transkrypt

1 Projektowanie i Realizacja Sieci Komputerowych Wykład 13 Bezpieczeństwo sieci Monitorowanie i zarządzanie węzłami sieci komputerowej dr inż. Artur Sierszeń asiersz@kis.p.lodz.pl dr inż. Łukasz Sturgulewski luk@kis.p.lodz.pl Projektowanie i Realizacja Sieci Komputerowych 1

2 Terminy kluczowe Poufność - Confidentiality Integralność - Integrity Dostępność - Availability Podatność - Vulnerability Zagrożenia - Threat Rozpoznanie - Reconnaissance Dostęp - Access Odmowa usługi - Denial of Service Szyfrowanie - Encryption Koło bezpieczeństwa - Security Wheel

3 Zamknięte sieci Projektowanie i Realizacja Sieci Komputerowych 3

4 Współczesna sieć Projektowanie i Realizacja Sieci Komputerowych 4

5 Tendencje dotyczące bezpieczeństwa sieciowego Wzrost ilości ataków sieciowych Wzrost stopnia skomplikowania ataków Wzrost uzależnienia od sieci komputerowych Brak wykwalifikowanego personelu Brak świadomości użytkowników sieci Brak polityk bezpieczeństwa Bezprzewodowy dostęp Ustawodawstwo Spór prawny Projektowanie i Realizacja Sieci Komputerowych 5

6 Cele ochrony sieciowej Dostępność Poufność Integralność Projektowanie i Realizacja Sieci Komputerowych 6

7 Kluczowe elementy ochrony sieci Projektowanie i Realizacja Sieci Komputerowych 7

8 Wrażliwość sieci na ataki Technologia Konfiguracja Polityka bezpieczeństwa Projektowanie i Realizacja Sieci Komputerowych 8

9 Możliwość zagrożeń bardziej niebezpieczny a łatwiejszy do użytkowania Projektowanie i Realizacja Sieci Komputerowych 9

10 Cztery klasy ataków sieciowych Ataki rozpoznawcze Ataki dostępowe Odmowa usługi Robaki, wirusy i konie trojańskie

11 Specyficzne rodzaje ataków Poniższe zagrożenia mogą dotyczyć twojego systemu: Packet sniffers IP weaknesses Password attacks DoS or DDoS Man-in-the-middle attacks Application layer attacks Trust exploitation Port redirection Virus Trojan horse Operator error Worms Projektowanie i Realizacja Sieci Komputerowych 11

12 Ataki rozpoznawcze Rozpoznanie sieci odnosi się do zjawiska zbierania informacji na temat docelowej sieci przy użyciu ogólno dostępnych informacji i aplikacji. Projektowanie i Realizacja Sieci Komputerowych 12

13 Zwalczanie ataków rozpoznawczych Nie można całkowicie zapobiec rozpoznaniu sieci. IDS w sieci i poziomy dostępu mogą z reguły powiadomić administratora kiedy przebiega atak rozpoznawczy (na przykład ping sweeps i skanowanie portów). Projektowanie i Realizacja Sieci Komputerowych 13

14 Snifing pakietów - Packet Sniffers Host A Router A Router B Host B Snifing pakietów to program, który wykorzystuje kartę sieciową w trybie nasłuchiwania aby przechwycić wszystkie pakiety sieciowe. Poniżej wypisano właściwości snifingu pakietów: Snifing pakietów wykorzystuje przekazywane czystym tekstem. Protokoły, które przekazują informację w ten sposób to: Telnet FTP SNMP POP Snifing pakietów mysi odbywać się w tej samej domenie kolizji. Projektowanie i Realizacja Sieci Komputerowych 14

15 Zwalczanie snifingu pakietów Host A Router A Router B Host B Poniższe techniki i narzędzia mogą być wykorzystane do zwalczania snifingu pakietów: Uwierzytelnianie używanie silnego uwierzytelniania np. poprzez hasła jednorazowe jest pierwszą opcją obrony. Infrastruktura przyłączania zastosowanie odpowiedniej infrastruktury przyłączania przeciwdziała stosowaniu snifingu pakietów w twoim środowisku. Narzędzia antysnifingowe zastosowanie takich narzędzi umożliwia uaktywnienie programów i sprzętu zaprojektowanego do wykrywania snifingu w sieci. Szyfowanie najskuteczniejsza metoda przeciwdziałania snifingowi; nie zabezpiecza i nie wykrywa snifingu, ale sprawia, że staje się on nieistotny. Projektowanie i Realizacja Sieci Komputerowych 15

16 IP Spoofing IP spoofing występuje, kiedy haker na zewnątrz lub wewnątrz sieci używa zaufanego adresu IP. Podczas IP spoofing wykorzystuje się dwie techniki: Haker używa adresu IP, który znajduje się pośród zaufanych adresów. Haker używa uwierzytelnionego zewnętrznego adresu IP, który jest zaufany. IP spoofing wykorzystywany jest do: IP spoofing jest z reguły ograniczony do wprowadzenia szkodliwych danych lub poleceń do istniejącego strumienia danych. Haker zmienia tabele routingu, aby wskazać adres IP, pod który się podszywa w celu otrzymywania wszystkich sieciowych pakietów, które wysyłane są na ten adres. Może wtedy odpowiadać na nie jako zaufany użytkownik. Projektowanie i Realizacja Sieci Komputerowych 16

17 Zwalczanie IP Spoofing Zagrożenie IP spoofingiem może być zredukowane, ale nie wyeliminowane, przez zastosowanie następujących procedur: Kontrola dostępu (Access control) Najpopularniejsza metoda zapobiegania IP spoofingowi to odpowiednie skonfigurowanie kontroli dostępu. Filtrowanie zgodne z RFC 2827 Możesz zapobiegać IP spoofingowi innych sieci przez twoich użytkowników poprzez powstrzymanie ruchu na zewnątrz, który nie posiada adresu źródłowego należącego do zakresu twoich adresów IP. Dodatkowe uwierzytelnianie nie wykorzystujące uwierzytelniania opartego na IP Przykładem takiego uwierzytelniania może być: szyfrowanie (zalecane) silne, wieloskładnikowe, jednorazowe hasła Projektowanie i Realizacja Sieci Komputerowych 17

18 Ataki DoS Denial of Service Projektowanie i Realizacja Sieci Komputerowych 18

19 Przykład ataku DDoS Distributed DoS

20 Zwalczanie ataków Dos Zagrożenie atakami DoS może zostać zredukowane przez zastosowanie następujących trzech metod: Właściwości antyspoofingu Odpowiednia konfiguracja właściwości antyspoofingu na routerach i zaporach ogniowych Właściwości anty-dos Odpowiednia konfiguracja właściwości anty-dos na routerach i zaporach ogniowych Ograniczenie poziomu ruchu Zastosowanie ograniczenia poziomu ruchu do poziomu zgodnego z siecią ISP Projektowanie i Realizacja Sieci Komputerowych 20

21 Ataki na hasło Hakerzy mogą stosować ataki na hasło, używając kilku różnych metod: Ataki siłowe Ataki słownikowe Konie trojańskie IP spoofing Snifing pakietów Projektowanie i Realizacja Sieci Komputerowych 21

22 Przykład ataku na hasło L0phtCrack może pobrać zahaszowane znaki hasła i wygenerować z nich treść hasła. Hasła są łamane dwoma różnymi metodami: Ataki słownikowe Ataki siłowe Projektowanie i Realizacja Sieci Komputerowych 22

23 Zwalczanie ataków na hasło Istnieją następujące metody zwalczania: Nie pozwól użytkownikom używać takiego samego hasła na wielu systemach. Wyłączaj konto po przekroczeniu określonej liczby nieudanych prób zalogowania. Nie używaj haseł wyłącznie literowych. Zalecane są hasła szyfrowane lub OTP. Używaj silnych haseł. Silne hasło to takie, którego długość wynosi przynajmniej 8 znaków i zawiera małe i duże litery, cyfry i znaki alfanumeryczne. Projektowanie i Realizacja Sieci Komputerowych 23

24 Ataki typu Man-in-the-Middle Host A Data in clear text Host B Router A Router B Ataki typu man-in-the-middle wymagają, aby haker posiadał dostęp do pakietów sieciowych, które przechodzą przez sieć. Implementacja ataku typu man-in-the-middle attack is implemented wymaga zastosowania: Snifingu pakietów Protokołów routingu i warstwy transportowej Możliwe zastosowania ataków typu man-in-the-middle: Kradzież informacji Przejęcie trwającej sesji Analiza ruchu DoS Uszkodzenie transmitowanych danych Wprowadzenie nowych informacji do sesji sieciowej Projektowanie i Realizacja Sieci Komputerowych 24

25 Zwalczanie ataków typu Man-in-the- Middle A man-in-the-middle attack can only see cipher text Host A IPSec tunnel Host B Router A ISP Router B Ataki typu Man-in-the-middle mogą być skutecznie zwalczane tylko przy wykorzystaniu szyfrowania. Projektowanie i Realizacja Sieci Komputerowych 25

26 Ataki na warstwę aplikacji Ataki na warstwę aplikacji mają następujące właściwości: Wykorzystują dobrze znane słabości, np. protokoły, które są nieodłącznym elementem aplikacji lub systemu (na przykład sendmail, HTTP i FTP) Często korzystają z portów, które są przepuszczane przez zaporę ogniową (na przykład 80 port TCP używany do ataku na serwery WWW zza zapory ogniowej) Nigdy nie mogą być zupełnie wyeliminowane, ponieważ wciąż odkrywane są nowe słabe punkty Projektowanie i Realizacja Sieci Komputerowych 26

27 Zwalczanie ataków na warstwę aplikacji Niektóre działania, jakie możesz podjąć w celu zredukowania ryzyka, to: Przeczytaj logi systemu operacyjnego i sieci zanalizuj je za pomocą odpowiednich aplikacji. Zapisz się na listy mailingowe, na których publikowane są informacje o słabych punktach. Uaktualniaj swój system operacyjny i aplikacje najnowszymi patchami. IDS może skanować w poszukiwaniu znanych ataków, monitorować i tworzyć logi ataku oraz, w niektórych przypadkach, zapobiegać atakom. Projektowanie i Realizacja Sieci Komputerowych 27

28 Przekierowanie portów - Port Redirection Projektowanie i Realizacja Sieci Komputerowych 28

29 Wirusy i konie trojańskie Wirusy odnoszą się do złośliwego oprogramowania, które jest dołączane do innego programu w celu wykonania szczególnej niechcianej funkcji na stacji roboczej. Końcowe stacje robocze są podstawowym celem wirusów. Koń trojański różni się jedynie tym, że cały program został napisany tak, aby wyglądał jak coś innego, podczas gdy jest on w rzeczywistości narzędziem ataku. Koń trojański jest zwalczany przez oprogramowanie antywirusowe na poziomie użytkownika i jeżeli jest to możliwe, na poziomie sieci. Projektowanie i Realizacja Sieci Komputerowych 29

30 Słabe punkty istnieją na wszystkich warstwach modelu OSI Projektowanie i Realizacja Sieci Komputerowych 30

31 Co jest polityką bezpieczeństwa? A security policy is a formal statement of the rules by which people who are given access to an organization s technology and information assets must abide. Polityka bezpieczeństwa jest formalnym zbiorem zasad, którymi kierować się muszą ludzie, mający dostęp do technologii i zasobów informacyjnych organizacji. (RFC 2196, Site Security Handbook)

32 Po co tworzymy politykę bezpieczeństwa? Aby stworzyć podstawę dla ochrony Aby ustalić ramy implementacji zabezpieczeń Aby zdefiniować dozwolone i niedozwolone zachowania Aby pomóc określić niezbędne narzędzia i procedury Aby ustanowić consensus i zdefiniować role Aby ustalić, jak radzić sobie z przypadkami utraty bezpieczeństwa

33 Elementy polityki bezpieczeństwa Oszacowanie danych Adresacja hostów Zdefiniowanie aplikacji Wskazówki użycia Topologia / Model zaufana POLITYKA Słabe punkty Odmowa usług Nadużycia Rozpoznanie Na lewo znajdują się czynniki projektu sieci, na których oparta jest polityka bezpieczeństwa Na prawo znajdują się podstawowe kierunki zagrożeń internetowych, w celu zwalczania których projektuje się politykę bezpieczeństwa Projektowanie i Realizacja Sieci Komputerowych 33

34 Bezpieczeństwo sieciowe jako nieustający proces Bezpieczeństwo sieciowe jest nieustającym procesem utworzonym dookoła polityki bezpieczeństwa. Krok 1: Zabezpiecz Krok 2: Monitoruj Krok 3: Testuj Krok 4: Ulepszaj Ulepszaj Zabezpiecz Polityka bezpieczeń stwa Testuj Monitoruj

35 Ochrona sieci Wprowadź rozwiązania bezpieczeństwa, aby powstrzymać lub zapobiec nieautoryzowanemu dostępowi lub nieautoryzowanym działaniom i aby zabezpieczyć informacje: Uwierzytelnianie Szyfrowanie Firewall Łatanie wrażliwych miejsc (patching) Ulepszaj Zabezpiecz Polityka bezpieczeń stwa Testuj Monitoruj

36 Monitorowanie bezpieczeństwa Wykrywa złamanie reguł polityki bezpieczeństwa Polega na przesłuchiwaniu systemu i detekcji włamań w czasie rzeczywistym Weryfikuje implementację zabezpieczeń z Kroku 1 Ulepszaj Zabezpiecz Polityka bezpieczeń stwa Testuj Monitoruj

37 Testowanie bezpieczeństwa Weryfikuje skuteczność polityki bezpieczeństwa przez przesłuchiwanie systemu i skanowanie słabości Ulepszaj Zabezpiecz Polityka bezpieczeń stwa Testuj Monitoruj

38 Ulepszanie bezpieczeństwa Używaj informacji uzyskanych przez monitorowanie i testowanie do wprowadzania ulepszeń do zaimplementowanyc h zabezpieczeń. Dostosuj politykę bezpieczeństwa w miarę identyfikacji słabości i zagrożeń. Ulepszaj Zabezpiecz Polityka bezpieczeń stwa Testuj Monitoruj

39 Produkty i rozwiązania zabezpieczające sieci Secure Connectivity Extended Perimeter Security Intrusion Protection Identity Services Security Management Appliances Series VPN 3000 Concentrator/Client PIX Security Appliance Integrated Switch VPN Module Cisco IOS VPN Appliances PIX Security Appliance Integrated Firewall Switch Module (FWSM) Cisco IOS Firewall Appliances Cisco 4200 Series PIX Firewall Host Based Integrated Switch IDS Module (IDSM) Cisco IOS IDS Cisco Access Control Server Software Identity Based Network Services (IBNS) 802.1X ext. Device Managers PDM IDM/IEV CiscoWorks VPN/Securiy Management Solution CiscoWorks Hosting Solution SOHO 90, SOHO 830,1700, 90, 830,1700, 2600, 3600, 2600, 3700, 3600, 3700, series series Engine Projektowanie i Realizacja Sieci Komputerowych 39

40 Tożsamość użytkownika Mechanizmy udowadniania, kim jesteś Stosuje się zarówno do uwierzytelniania ludzi, jak i urządzeń Trzy atrybuty uwierzytelniania: Coś, co wiesz Coś, co masz Coś, czym jesteś Najczęstsze podejścia do tożsamości: Hasła Tokeny PKI (certyfikaty cyfrowe) Podejście biometryczne Projektowanie i Realizacja Sieci Komputerowych 40

41 Typy zapór ogniowych Bazujące na serwerach Microsoft ISA CheckPoint BorderManager Osobne urządzenie PIX Security Appliance Netscreen SonicWall Osobiste Norton McAfee ZoneAlarms Zintegrowane IOS Firewall Switch Firewall Projektowanie i Realizacja Sieci Komputerowych 41

42 Rozwiązania zapór ogniowych Solution Breadth PIX Appliance Switch Module IOS FW Router VPN Client PIX 501 PIX 506E PIX 515E PIX 525 PIX 535 Firewall Service Module (FWSM) xxx 7xxx VPN Client Software Built in Personal FW Mgmt Secure CLI Web UI Embedded Mgr Enterprise Mgmt VMS

43 Połączenia PIX Security wykres urządzeń Stateful Inspection Firewall Appliance is Hardened OS IPSec VPN Integrated Intrusion Detection Hot Standby, Stateful Failover Easy VPN Client/Server VoIP Support PIX 525 PIX 535 PIX 515E PIX 506E PIX 501 Gigabit Ethernet SOHO ROBO SMB Enterprise Service Provider Wydajność Cisco Systems Confidential 43

44 Obszary zastosowania systemów zarządzania sieciami Kluczowe obszary zastosowania systemów zarządzania sieciami określone przez OSI: Zarządzanie wydajnością. Zarządzanie uszkodzeniami, nieprawidłowościami. Zarządzanie kosztami. Zarządzanie konfiguracją i oznaczeniami. Zarządzanie bezpieczeństwem. Projektowanie i Realizacja Sieci Komputerowych 44

45 Architektura oprogramowania Oprogramowanie zarządzania składa się z trzech głównych elementów: Interfejs użytkownika (oprogramowanie prezentujące dla użytkownika); Oprogramowanie zarządzania siecią; Oprogramowanie obsługujące komunikację oraz bazy danych. Projektowanie i Realizacja Sieci Komputerowych 45

46 Architektura oprogramowania Ad.1 Zunifikowany interfejs użytkownika Prezentacja informacji zarządzania Aplikacja zarządzania siecią... Aplikacja zarządzania siecią Ad.2 Element aplikacji Element aplikacji Element aplikacji Moduł dostępu do MIB Protokół komunikacji Ad.3 MIB Sieć Rysunek 2.2 Architektura oprogramowania zarządzania siecią. Projektowanie i Realizacja Sieci Komputerowych 46

47 Architektura zarządzania sieciami Scentralizowany system zarządzania. Zdecentralizowany system zarządzania. Projektowanie i Realizacja Sieci Komputerowych 47

48 Monitoring sieci Informacje, które są szczególnie ważne z punktu widzenia monitoringu, dotyczą: Analizy wydajności; Poprawności pracy środowiska; Analizy kosztów. Projektowanie i Realizacja Sieci Komputerowych 48

49 Monitoring sieci Informacje monitoringu mogą być podzielone na trzy grupy: Statyczne; Dynamiczne; Statystyczne. Informacje statystyczne są uzyskiwane na podstawie analizy danych dynamicznych i dostarczają nam informacji o zachowaniu węzła w określonym czasie np. średnia liczba utraconych pakietów w jednostce czasu. Projektowanie i Realizacja Sieci Komputerowych 49

50 Monitoring sieci Aplikacja monitorująca Aplikacja monitorująca Aplikacja monitorująca Aplikacja monitorująca Moduł zarządcy Moduł zarządcy Moduł zarządcy Moduł zarządcy Moduł agenta Zarządzane obiekty Sieć Sieć Sieć Moduł agenta Moduł agenta Moduł agenta (proxy) Zarządzane obiekty LAN LAN 1. Wszystkie moduły znajdują się w jednym elemencie sieciowym 2. Najpowszechniejsze rozwiązanie. Jeden element pełni rolę zarządcy, a drugi agenta. 3. System monitorowania zawiera jednego lub więcej agentów,którzy śledzą ruch w sieci 4. Rozwiązanie wymagane dla elementów obsługujących inny protokół zarządzania niż menadżer. Rysunek 2.6 Architektura monitoringu sieci. Projektowanie i Realizacja Sieci Komputerowych 50

51 Monitoring sieci W systemach zarządzania istnieją dwa sposoby dostarczania informacji menadżerowi: Odpytywanie: pytanie odpowiedź (request - response); Zgłaszanie wydarzeń; Projektowanie i Realizacja Sieci Komputerowych 51

52 Monitorowanie wydajności Monitoring wydajności pozwala uzyskać odpowiedzi na następujące pytania: Czy ruch jest równomiernie rozłożony pomiędzy użytkownikami oraz czy istnieją pary szczególnie mocno obciążone? Jaki jest procentowy udział rodzajów przesyłanych pakietów? Jaki jest rozkład czasów opóźnień? Jaki jest stopień obciążenia kanału i dokładność? Jaka jest przyczyna błędnie przesyłanych pakietów (nieefektywny protokół, uszkodzony sprzęt)? Projektowanie i Realizacja Sieci Komputerowych 52

53 Uwaga Pewną trudność stanowi wyłowienie tych wskaźników, które rzetelnie, prawidłowo opisują wydajność. Podczas ich wyboru możemy napotkać kilka problemów: Duża liczba wskaźników; Znaczenie wielu wskaźników nie jest zbyt dokładnie zrozumiałe lub jest źle interpretowane; Niektóre wskaźniki nie powinny być porównywane z innymi; Obliczanie wartości wskaźników w wielu przypadkach trwa zbyt długo, co źle wpływa na ich użyteczność dla kontroli środowiska; Projektowanie i Realizacja Sieci Komputerowych 53

54 Wskaźniki wydajności sieci Dostępność. Procent czasu, przez który system sieciowy (wszystkie komponenty i aplikacje) jest dostępny dla użytkownika. Wysoki wskaźnik dostępności jest w wielu dziedzinach naszego życia kluczowy np. porty lotnicze, usługi medyczne czy parkiety giełdowe. Dostępność bazuje na niezawodności poszczególnych komponentów środowiska. Awarie komponentów są wyrażone przez średni czas pomiędzy awariami MTBF (Mean Time Between Failure). Czas potrzebny na jej usunięcie nazywamy średnim czasem naprawy MTTR (Mean Time To Repair). Dokładność A może być wyrażona jako iloraz: MTBF A MTBF MTTR Aby uzyskać większy stopień dostępności stosuje się rozwiązania wykorzystujące elementy nadmiarowe, co zmniejsza prawdopodobieństwo unieruchomienia całej lub istotnych części sieci. Projektowanie i Realizacja Sieci Komputerowych 54

55 Wskaźniki wydajności sieci Czas odpowiedzi. Jest to czas potrzebny systemowi na udzielenie odpowiedzi, na żądanie wykonania określonego zadania. Często przyjmujemy, że jest to czas między zatwierdzeniem komendy przez użytkownika a rozpoczęciem wyświetlania rezultatu przez system. W zależności od typu aplikacji stawiane są różne wymagania, co do czasu odpowiedzi. Skracanie czasu odpowiedzi jest możliwe poprzez zwiększanie mocy obliczeniowej systemu oraz przepustowości łączy. Ważne jest także ustalenie odpowiednich priorytetów dla różnych procesów (w zależności od ważności zadań). Niestety powyższe przedsięwzięcia są zazwyczaj bardzo kosztowne a uzyskane efekty często nie są adekwatne do poniesionych kosztów. Projektowanie i Realizacja Sieci Komputerowych 55

56 Wskaźniki wydajności sieci Dokładność. Określa jakość transmisji danych między elementami sieci. Korekcja błędów jest realizowana przez protokoły transmisyjne jednak analiza współczynnika błędów daje mnóstwo informacji o stanie połączenia. Projektowanie i Realizacja Sieci Komputerowych 56

57 Wskaźniki wydajności sieci Wydajność. Aby prawidłowo powiązać wydajność projektowaną, żądaną i rzeczywistą określonego miejsca sieci należy obserwować wiele parametrów: Liczba transakcji danego typu w określonym czasie; Liczba sesji klientów w określonym czasie; Liczba odwołań do zewnętrznego środowiska. Projektowanie i Realizacja Sieci Komputerowych 57

58 Wskaźniki wydajności sieci Użytkowanie. Określa stopień użycia zasobu w określonym czasie. Najważniejszym zastosowaniem tego wskaźnika jest wyszukanie wąskich gardeł i przeciążeń sieci, ale także niewykorzystanych obszarów, które często są bardzo kosztowne w utrzymaniu. Najprostszą techniką określenia stopnia obciążenia różnych połączeń w sieci jest obserwacja różnicy między obciążeniem planowanym a bieżącym i średnim. Liniowy wzrost przeciążenia powoduje ekspotencjalny wzrost czasu odpowiedzi. Aby polepszyć wskaźniki omawianych połączeń należy: Zreorganizować ruch; Zbalansować planowane i rzeczywiste obciążenie; Zredukować całkowitą wymaganą pojemność; Używać zasobów bardziej efektywnie; Projektowanie i Realizacja Sieci Komputerowych 58

59 Monitorowanie uszkodzeń Zadania, jakie powinien spełniać dobry system monitorowania błędów (wymienione w kolejności ważności): Detekcja i raportowanie o błędach. Najprostszym sposobem realizacji tego zadania jest wyznaczenie agentowi zadania zapisywania informacji o niezwykłych wydarzeniach i błędach (tzw. logi). Powiadamianie zarządcy o wykrytych anomaliach. Przewidywanie wystąpienia błędów. Na przykład, jeśli jedna ze zmiennych stanu przekroczy ustalony próg, agent wysyła ostrzeżenie do zarządcy. Projektowanie i Realizacja Sieci Komputerowych 59

60 Monitorowanie kosztów Najistotniejsze w monitoringu kosztów jest śledzenie użycia zasobów sieci przez użytkowników. W różnych środowiskach koszty mogą być całkiem innej natury. Czasami wystarcza analiza wykorzystania zasobu na poziomie grup użytkowników i zawiązanych z tym całkowitych kosztów, w innym przypadku obserwacja wykorzystania zasobu musi odbywać się na poziomie pojedynczego użytkownika, który wykonuje określone zadania. Przykłady zasobów, które są przedmiotem monitoringu kosztów: Komunikacyjne systemy: LAN, WAN, dial-up, PBX; Sprzęt komputerowy: Stacje robocze, serwery i inne; Oprogramowanie i systemy: Aplikacje i narzędzia, centra danych; Usługi: Wszelkie komercyjne usługi dostępu do łączy czy danych zgromadzonych w systemie sieciowym. Dane o kosztach powinny być zbierane dla każdego zasobu, zgodnie z postawionymi przez zarządcę wymogami. Projektowanie i Realizacja Sieci Komputerowych 60

61 Kontrola sieci Ważną częścią zarządzania siecią jest jej kontrola. Polega ona głównie na zmianie parametrów pracy węzła oraz przeprowadzaniu zdalnie, określonych akcji np. włączanie i wyłączenie urządzenia. W kwestii kontroli leżą głównie dwa ostatnie obszary zastosowania systemu zarządzania siecią, czyli konfiguracja i bezpieczeństwo. Projektowanie i Realizacja Sieci Komputerowych 61

62 Kontrola konfiguracji Główne zadania kontroli konfiguracji to: Inicjalizacja; Konserwacja; Wyłączanie. Podstawowe zadania zarządcy konfiguracji: Definiowanie informacji konfiguracyjnych; Ustawianie i modyfikowanie wartości atrybutów; Definiowanie i modyfikacja powiązań; Inicjalizacja i wyłączanie operacji sieciowych; Dystrybucja oprogramowania; Sprawdzanie wartości i powiązań atrybutów; Raport o stanie konfiguracji. Dwa pierwsze punkty są istotą kontroli konfiguracji, zaś dwa ostatnie punkty to funkcje konfiguracyjno-monitorujące. Projektowanie i Realizacja Sieci Komputerowych 62

63 Kontrola bezpieczeństwa Typy zagrożeń. Przerwanie Modyfikacja Przechwycenie Fabrykacja Rysunek 2.10 Zagrożenia bezpieczeństwa. Projektowanie i Realizacja Sieci Komputerowych 63

64 Kontrola bezpieczeństwa Zadania zarządzania bezpieczeństwem: Przechowywanie informacji bezpieczeństwa: Przykłady obiektów wykorzystywanych przy zarządzaniu bezpieczeństwem: klucze, informacje o uprawnieniach i prawach dostępu, parametry operacyjne oraz usługi i mechanizmy bezpieczeństwa. Informacje, które należy gromadzić, aby ułatwić wykrycie nieuprawnionego dostępu: Logowanie wydarzeń; Monitorowanie bezpieczeństwa linii komunikacyjnych; Monitorowanie użycia zasobów związanych z bezpieczeństwem; Raportowanie o naruszeniu bezpieczeństwa; Odbieranie zawiadomień o naruszeniu bezpieczeństwa; Utrzymywanie kopii bezpieczeństwa danych związanych z bezpieczeństwem; Utrzymywanie profili użytkowników i ich użycia przy dostępie do określonych zasobów. Kontrola usług dostępu do zasobów. Kontrola procesów kodowania. Projektowanie i Realizacja Sieci Komputerowych 64

65 Protokół zarządzania SNMPv1 Protokoły zarządzania: HEMS (High-Level Entity Management System) uogólnienie prawdopodobnie pierwszego protokołu zarządzanie siecią HMP (Host Monitoring Protocol), SNMP (Simple Network Management Protocol) rozbudowana wersja protokołu SGMP, CMIP over TCP/IP (Common Management Information Protocol over TCP/IP - CMOT) próba przeniesienia protokołu zarządzania stworzonego przez ISO/OSI na platformę TCP/IP. Projektowanie i Realizacja Sieci Komputerowych 65

66 Dokumentacja protokołu SNMPv1 Numer RFC Tytuł 1155 Structure and Identification of Management Information for TCP/IPbased Internets 1157 A Simple Network Management Protocol (SNMP) Data publikac ji Maj 1990 Maj Concise MIB Definitions Marzec Management Information Base for Network Management of TCP/IP-based internets: MIB-II Marzec 1991 Projektowanie i Realizacja Sieci Komputerowych 66

67 Bazy danych MIB ccitt (0) iso (1) iso-ccitt (2) standard (0) registrationauthority (1) memberbody (2) identifiedorganization (3) dod (6) internet (1) directory (1) mgmt (2) experimental (3) private (4) security (5) snmpv2 (6) mib-2 (1) enterprise (1) cisco (9) temporary variables (3) DECnet (1) XNS (2) Apple Talk (3) Novell (3) VINES (4) Chassis (5) atinput (1) atlocal (2) atbcastin (3) atforward (4) Rysunek 2.11 Drzewo MIB II. Projektowanie i Realizacja Sieci Komputerowych 67

68 Podstawowe typy danych w bazie MIB Typ danych INTEGER (UNIVERSAL 2) liczba całkowita OCTET STRING (UNIVERSAL 4) oktetowy ciąg znaków NULL (UNIVERSAL 5) zero OBJECT IDENTIFIER (UNIVERSAL 6) identyfikator obiektu SEQUENCE (UNIVERSAL 16) kolejność SEQUENCE OF (UNIVERSAL 16) kolejność Opis Typ danych reprezentujący liczebniki główne. Typ danych reprezentujący ciąg oktetów, gdzie każdy z nich może przyjmować wartość od 0 do 255. Typ danych traktowany jako znak-wypełniacz, ale obecnie nie używany. Typ danych reprezentujący identyfikator (nazwę) obiektu, która składają się z sekwencji wartości określających węzeł w drzewie MIB. Typ danych wykorzystywany do tworzenia list w skład, których wchodzą obiekty o typach prostych ASN.1. Typ danych wykorzystywany do tworzenia tabel, budowanych w oparciu o wcześniej zdefiniowane listy. Projektowanie i Realizacja Sieci Komputerowych 68

69 System zarządzania SNMP Jednostka zarządzająca NMS Agent Agent Agent Baza danych MIB Baza danych MIB Baza danych MIB Zarządzane urządzenia Rysunek 2.14 Elementy systemu zarządzania stosującego protokół SNMP. Projektowanie i Realizacja Sieci Komputerowych 69

70 Operacje protokołu Jednym z powodów, dla których SNMP jest uważany za prosty, jest fakt, że udostępnia on tylko trzy podstawowe czynności, które mogą być wykonywane na obiektach: Set: System zarządzania może zaktualizować lub zmienić wartość skalarnego obiektu MIB. Operacja ustawiania jest uprzywilejowanym poleceniem, ponieważ może być wykorzystywana do poprawiania konfiguracji urządzenia lub do kontrolowania jego stanu użytkowego. Get: System zarządzania może odczytywać wartość skalarnego obiektu MIB. Polecenie pobierania wartości jest najpopularniejszą czynnością protokołu SNMP, ponieważ jest to główny mechanizm wykorzystywany do zbierania informacji o urządzeniu sieciowym. Trap: Agent może samodzielnie wysyłać wiadomości do programu zarządzania siecią. Celem tej usługi jest zawiadomienie systemu zarządzania o zmianie warunków pracy urządzenia lub wykrytych problemach. Projektowanie i Realizacja Sieci Komputerowych 70

71 Społeczność Specyfikacja SNMP (RFC 1157) dostarcza bardzo prostego mechanizmu ochrony opartego na koncepcji społeczności. Nazwa społeczności jest definiowana lokalnie w agencie, dlatego te same nazwy mogą być używane przez różnych agentów. Każda wiadomość przesyłana ze stacji zarządzającej do agenta zawiera nazwę społeczności. Głównym powodem problemów z bezpieczeństwem jest to, że SNMP nie zapewnia żadnych funkcji kodowania lub innych mechanizmów, dzięki którym można upewnić się, że informacje o społeczności nie są kopiowane z sieci podczas wymiany pakietów SNMP. Projektowanie i Realizacja Sieci Komputerowych 71

72 Kontrola dostępu do zmiennych MIB access SNMP access mode READ-ONLY READ-WRITE read-only Dostępne dla operacji get i trap Dostępne dla operacji get i trap read-write Dostępne dla operacji get i trap Dostępne dla operacji get, trap oraz set write-only Dostępne dla operacji get i trap, lecz wartość zależy od specyfiki implementacji Dostępne dla operacji get, trap oraz set, lecz wartość zależy od specyfiki implementacji not accessible niedostępny Projektowanie i Realizacja Sieci Komputerowych 72

73 Format wiadomości SNMPv1 a.) Schemat blokowy. Version Community b.) Definicja zgodna z notacją ASN.1. Rysunek 2.15 Format wiadomości protokołu SNMP. PDU Message ::= SEQUENCE { version -- version-1 for RFC 1157 INTEGER { version-1(0) }, community -- community name OCTET STRING, data ANY } -- e.g., PDUs if trivial -- authentication is being used Informacje, pomiędzy stacją zarządzającą a agentem, są wymieniane w formie komunikatów SNMP. Urządzenie odbiera wiadomości wykorzystując bezpołączeniowy protokół UDP na porcie 161. Jedynie wiadomości zawierające pułapki odbierane są na porcie 162. Projektowanie i Realizacja Sieci Komputerowych 73

74 Format wiadomości SNMPv1 W SNMPv1 zdefiniowano pięć typów PDU: GetRequest; GetNextRequest; SetRequest; GetResponse; Trap; PDU GetRequest, GetNextRequest, SetRequest, GetResponse mają taki sam format.dzięki temu uniknięto zbytecznej komplikacji protokołu. Jedynie Trap-PDU, ze względu na swoją specyfikę, ma inną strukturę. Projektowanie i Realizacja Sieci Komputerowych 74

75 Format wiadomości SNMPv1 PDU Type Request ID Error Status Error Index Object 1 Value 1 Object 2 Value 2 Object x Value x a.) Schemat blokowy. Variable Bindings PDU ::= SEQUENCE { request-id INTEGER, error-status -- sometimes ignored INTEGER { noerror(0), toobig(1), nosuchname(2), badvalue(3), readonly(4), generr(5) }, error-index INTEGER, -- sometimes ignored b.) Definicja zgodna z notacją ASN.1. } variable-bindings -- values are sometimes ignored VarBindList Rysunek 2.16 Format PDU: GetRequest, GetNextRequest, SetRequest, GetResponse. Projektowanie i Realizacja Sieci Komputerowych 75

76 Format wiadomości SNMPv1 Enterprise Agent Address Generic Trap Type Specific Trap Code Time Stamp Object 1 Value 1 Object 2 Value 2 Object x Value x a.) Schemat blokowy. Trap-PDU ::= IMPLICIT SEQUENCE { enterprise -- type of object generating -- trap, see sysobjectid OBJECT IDENTIFIER, agent-addr -- address of object generating NetworkAddress, -- trap generic-trap -- generic trap type INTEGER { coldstart(0), warmstart(1), linkdown(2), linkup(3), authenticationfailure(4), egpneighborloss(5), enterprisespecific(6) }, specific-trap -- specific code, present even INTEGER, -- if generic-trap is not -- enterprisespecific time-stamp -- time elapsed between the last TimeTicks, -- (re)initialization of the network -- entity and the generation of the trap Variable Bindings b.) Definicja zgodna z notacją ASN.1. Rysunek 2.17 Format Trap-PDU. } variable-bindings -- "interesting" information VarBindList Projektowanie i Realizacja Sieci Komputerowych 76

77 Projektowanie i Realizacja Sieci Komputerowych Wykład 13 KONIEC Projektowanie i Realizacja Sieci Komputerowych 77